Devredilen bir VPN profilinin cihazınızda değiştirebilecekleri

İstemcinize bir VPN profili vermek, ona başka birinin yazdığı ve o programın sonra makinenizde çalıştırdığı bir yapılandırma vermektir. İçe aktarmak, kapsanan trafiğin nereye gittiğini, cihazınızın hangi tarafa güvendiğini ve bazı biçimlerde tünel açılırken hangi yerel programların çalıştığını değiştirebilir. Dosya bir yer imi değil; bildirimsel biçimde yazılmış küçük bir programdır.

Onu, aynı kaynaktan gelen bir kabuk betiğini okur gibi okuyun.

Onu istemci yorumlar, siz değil

Dosyadaki her alan belirli bir istemciye verilen talimattır. Uç nokta ve protokol tünelin nereye gittiğine, kimlik doğrulama bloğu hangi sırrın istendiğine, rota yönergeleri ise içine neyin girdiğine karar verir. Sertifikalar veya özel anahtar dosya olarak başvurulmak yerine blok olarak gömülü olabilir, bu yüzden tek bir metin dosyası bazen bir ağ geçidinin önünde sizin yerinize geçmek için gereken her şeyi taşır. Sıradan dosya paylaşımını bu kadar tehlikeli yapan tam da bu özelliktir.

OpenVPN profilleri ayrıca betik kancaları, eklenti yolları ve bu kancaların çalışmasına izin verilip verilmediğini belirleyen bir güvenlik düzeyi taşıyabilir. Bu bileşim, tanımadığınız bir profili çift tıklamak yerine satır satır okumaya değer kılan şeydir. İstemci dosyanın söylediğini tam olarak yapar ve bunu sizin yetkilerinizle yapar.

Yönlendirme değişiklikleri bir bağlantıdan sonra görülür

Tam tünel profili her şeyi ağ geçidinden gönderen rotalar kurar, bölünmüş tünel profili ise yalnızca seçilen önekleri gönderir. Bazı profiller bir DNS sunucusunu da iter ve bu, sorgularınızı kimin gördüğünü sessizce değiştirir. Bunların hiçbiri kendi başına kötü niyetli değildir ve hiçbiri dosya adından açık değildir.

İlk bağlantıdan önce ve sonra yönlendirme tablosunu karşılaştırın, niyeti bir bakışta görürsünüz. Tek bir iç uygulamaya erişim olarak tanıtılan ama daha geniş bir varsayılan rota kuran bir profil, yazarı hakkında size bir şey söyler.

Gerçek ağırlığı güven malzemesi ve kancalar taşır

Bir profil VPN istemcisine güven bilgisi sağlayabilir ve bir platform yapılandırma paketi daha ileri gidip bir sertifikayı veya kökü sistem deposuna kurabilir. Bunlar farklı kapsamlar ve farklı sonuçlardır. İstemci kapsamındaki durum tek bir uygulamanın doğrulamasını etkiler; sistem düzeyindeki durum platformun güven deposunu kullanan her şeyi etkiler.

Betik kancaları ve eklentiler diğer yarısıdır. Bağlantı sırasında komut çalıştıran bir yönerge veya istemci sürecine yüklenen bir eklenti sizin izinlerinize sahiptir ve istemcinin yalıtımından hiçbir şeye sahip değildir. İstemediğiniz bir profilde böyle bir şey varsa, bu onu gönderen kişiye sorulacak bir sorudur.

İki kategoriden hiçbiri otomatik olarak düşmanca değildir. Kurumsal dağıtımlar ikisini de kullanır. Mesele şu ki her biri doğrulayabileceğiniz bir açıklama gerektirir.

Kaynağı doğrulayın, sonra sırrı girin

Dosyayı kimin yayımladığını, onu teslim eden mesaj üzerinden değil, zaten güvendiğiniz bir kanal üzerinden belirleyin. Uç nokta ve sertifika ayrıntılarını operatörün yayımladığı belgelerle karşılaştırın. Bir profil istemeden geldiyse, size verilen kopyayı onarmak yerine doğrudan operatörden yenisini alın. Operatörün hangi istemci sürümünü desteklediğini sorun, çünkü aynı dosya başka bir istemci tarafından farklı yorumlanabilir.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Çalışıp çalışmadığını görmek için asla açıklanmamış bir alana parola koymayın ve yalnızca bir içe aktarmayı bitirmek için tanımadığınız bir yetki istemini kabul etmeyin. Başarılı bir bağlantı uç noktanın yanıt verdiğini kanıtlar, daha fazlasını değil.

İndirileni değil, içe aktarılan kopyayı kaldırın

İstemciler profili kendi depolarına kopyalar, bu yüzden indirilen dosyayı silmek içe aktarılan bağlantıyı etkin bırakır. Onu istemcinin kendi arayüzünden kaldırın ve içe aktarma sırasında eklenen herhangi bir sertifikanın da gittiğini kontrol edin. Ardından kurduğu rotaların da gittiğini doğrulayın.

Bir sertifika sistem düzeyinde kurulduysa, profili kaldırmak yeterli değildir. O temizlik platformun güven yönetimine aittir ve bir sonraki yeniden başlatmanın halledeceğini ummak yerine bilinçli olarak yapılmaya değer.